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Beschreibung 

Verfahren und Anordnung zur Authentif ikation von einer ersten 
Instanz und einer zweiten Instanz 

Die Erfindung betrifft ein Verfahren und eine Anordnung zur 
Authentif ikation einer ersten Instanz mit einer zweiten 
Instanz und/oder umgekehrt. 





10 Im Rahmen einer Authentif ikation (auch: Authentif izierung) 
erklart eine erste Instanz gegenuber einer zweiten Instanz 
verlafilich, daft sie auch tatsachlich die erste Instanz ist. 
Entsprechend ist bei der Ubermittlung von ( vertraulichen) 
Daten sicherzustellen, von wem diese tatsachlich stammen. 

15 

Ein symmetrisches Verschlusselungsverf ahren ist aus [1] 
bekannt. Bei dem symmetrischen Verschlusselungsverf ahren wird 
ein Schlussel sowohl fur die Ver- als auch fur die 
Entschlusselung verwendet. Ein Angreifer, der in den Besitz 
20 solch eines Schlussels kommt, kann einen Klartext (die zu 

verschliisselnde Information) in Schlusseltext und umgekehrt 
transf ormieren. Das symmetrische Verschlusselungsverf ahren 
heiftt auch Private-Key-Verf ahren Oder Verfahren mit geheimem 
Schlussel. Ein bekannter Algorithmus zur symmetrischen 
Verschliisselung ist der DES-Algorithmus (Data Encryption 
Standard) . Er wurde im Jahre 1974 standardisiert unter ANSI 
X3. 92-1981. 

Ein asymmetrisches Verschlusselungsverf ahren ist aus [2] 
30 bekannt. Dabei ist einem Teilnehmer nicht ein einzelner, 

sondern ein Schliisselsystem aus zwei Schliisseln zugeordnet: 
Mit dem einen Schlussel wird die Abbildung des Klartext in 
eine transf ormierte Form bewirkt, der andere Schlussel 
ermoglicht die inverse Operation und uberfiihrt den 
35 transf ormierten Text in Klartext. Solch ein Verfahren heiftt 
asymmetrisch, weil beide Seiten, die an einer 
kryptographischen Operation beteiligt sind, verschiedene 
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Schliissel (eines Schliisselsystems ) einsetzen. Einer der 
beiden Schliissel, z.B. ein Schliissel p, kann offentlich 
bekannt gemacht werden, wenn folgende Eigenschaf ten erfiillt 
sind: 

5 - Es ist nicht mit vertretbarem Aufwand moglich, aus dem 

Schliissel p einen zur inversen Operation notwendigen 
geheimen Schliissel s abzuleiten. 
- Selbst wenn Klartext mit dem (of f entlichen) Schliissel 
p transf ormiert wird, ist es nicht moglich, daraus den 
10 (geheimen) Schliissel s abzuleiten. 

Aus diesem Grund heifit das asymmetrische Verschlusselungs- 
verfahren auch mit einem offentlich bekanntmachbaren 
Schliissel p Public-Key-Verf ahren . 

Grundsatzlich ist es moglich, den geheimen Schliissel s aus 
dem offentlichen Schliissel p herzuleiten. Dies wird jedoch 
insbesondere dadurch beliebig aufwendig, daft Algorithmen 
gewahlt werden, die auf Problemen der Komplexitatstheorie 
beruhen. Man spricht bei diesem Algorithmen auch von 
sogenannten "one-way-trapdoor "-Funktionen . Ein bekannter 
Vertreter fur ein asymmetrisches Verschliisselungsverf ahren 
ist das Dif f ie-Hellman-Verf ahren [6] . Dieses Verf ahren laftt 
sich insbesondere zur Schliisselverteilung ( Dif f ie-Hellman key 
agreement, exponential key exchange) einsetzen. 

Unter dem Begriff Verschliisselung wird die allgemeine 
Anwendung eines kryptographischen Verfahrens V(x,k) 
verstanden, bei dem ein vorgegebener Eingabewert x (auch 
30 Klartext genannt) mittels eines Geheimnisses k (Schliissel) in 
einen Chiffretext c := V(x,k) iiberfiihrt wird. Mittels eines 
inversen Ent schliisselungsverf ahrens kann durch Kenntnis von c 
und k der Klartext x rekonstruiert werden. Unter dem Begriff 
Verschliisselung versteht man auch eine sogenannte Einweg- 
35 Verschliisselung mit der Eigenschaft, daft es kein inverses, 
ef f izient berechenbares Ent schliisselungsverf ahren gibt . 
Beispiele fur solch ein Einweg-Verschliisselungsverf ahren ist 
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eine kryptographische Einwegf unktion bzw. eine 
kryptographische Hashf unktionen, beispielsweise der 
Algorithmus SHA-1, siehe [4] . 



10 




15 



20 



30 



Nun besteht in der Praxis das Problem, daft sichergestellt 
sein muft, daft ein of f entlicher Schliissel, der zur 
Verifikation einer elektronischen Unterschrift eingesetzt 
wird, tatsachlich der offentliche Schlussel dessen ist f von 
dem man annimmt, daft er der Urheber der ubermittelten Daten 
ist (Gewahrleistung der Authentizitat des Urhebers). Somit 
muft der offentliche Schlussel zwar nicht geheimgehalten 
werden, aber er muft authentisch sein. Es gibt bekannte 
Mechanismen (siehe [3]), die mit viel Aufwand sicherstellen, 
daft die Authentizitat gewahrleistet ist- Ein solcher 
Mechanismus ist die Einrichtung eines sogenannten 
Trustcenters, das Vertrauenswiirdigkeit genieftt und mit dessen 
Hilfe eine allgemeine Authentizitat sichergestellt wird. Die 
Errichtung eines solchen Trustcenters und die Verteilung der 
Schlussel von diesem Trustcenter aus sind jedoch iiberaus 
aufwendig. Beispielsweise muft bei der Schltisselvergabe 
sichergestellt sein, daft auch wirklich der Adressat und kein 
potentieller Angreifer den Schlussel bzw. die Schlussel 
erhalt. Dementsprechend hoch sich die Kosten fur Einrichtung 
und Betrieb des Trustcenters. 

Die Aufgabe der Erfindung besteht darin, eine 
Authentif ikation sicher zustellen, wobei kein gesonderter 
Aufwand fur eine Zertif izierungsinstanz Oder ein Trustcenter 
investiert werden muft. 

Diese Aufgabe wird gemaft den Merkmalen der unabhangigen 
Patentanspruche gelost. Weiterbildungen der Erfindung ergeben 
sich auch aus den abhangigen Anspriichen. 



35 



Zur Losung der Aufgabe wird ein Verfahren 
Authentif ikation von einer ersten Instanz 
Instanz angegeben, bei dem von der ersten 



zur 

mit einer zweiten 
Instanz eine 
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Operation A(x,g) auf einem (of f entlich) vorgegebenen 
bekannten Wert g und einem nur der ersten Instanz bekannten 
Wert x durchgefuhrt wird. Das Ergebnis der ersten Operation 
wird mit einem der ersten und der zweiten Instanz bekannten 
5 ersten Schlussel verschlusselt. Das mittels des ersten 

Schlussels verschliisselte Ergebnis der ersten Operation wird 
von der ersten Instanz zu der zweiten Instanz ubermittelt. 

Hierbei ist es besonders vorteilhaft, daft ein symmetrisches 
10 Verfahren eingesetzt wird, urn eine Authent izitat einer 

Instanz gegenuber einer weiteren Instanz herzustellen . Diese 
Authentizitat wird bewirkt ohne Einrichtung einer gesonderten 
Zertif izierungsinstanz oder eines Trustcenters. 

15 Eine Ausgestaltung besteht darin, daft die erste Operation 

A(x,g) ein asymmetrisches Kryptoverf ahren ist. Insbesondere 
kann die erste Operation auf einer beliebigen endlichen und 
zyklischen Gruppe G durchgefuhrt werden. 

20 Eine weitere Ausgestaltung besteht darin, daft die erste 
Operation A(x,g) eine Dif f ie-Hellman-Funkt ion G(g ) ist. 

g 

Alternativ kann die erste Operation auch eine RSA-Funktion x 
sein . 

5 Eine Weiterbildung besteht darin, daft die Gruppe G eine der 
folgenden Gruppen ist: 

a) eine multiplikative Gruppe Fq eines endlichen 

Korpers Fq, insbesondere mit 

• einer multiplikativen Gruppe Z p der ganzen 

30 Zahlen modulo einer vorgegebenen Primzahl p; 

* m 

• einer multiplikativen Gruppe F t mit t = 2 uber 
einem endlichen Korper Ft der Charakteristik 2; 

• einer Gruppe der Einheiten Z n mit n als einer 
zusammengesetzten ganzen Zahl; 

35 b) eine Gruppe von Punkten auf einer elliptischen Kurve 

uber einem endlichen Korper; 
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c) eine Jacobivariante einer hyperelliptischen Kurve uber 
einem endlichen Korper. 



Eine andere Weiterbildung besteht darin, daft das Ergebnis der 
5 ersten Operation ein zweiter Schlussel ist, mit dem die erste 
Instanz zur Wahrnehmung eines Dienstes auf der zweiten 
Instanz autorisiert wird. 

Eine zusatzliche Ausgestaltung besteht darin, daft der zweite 
10 Schlussel ein sogenannter "Sessionkey" oder eine an eine 
Applikation gebundene Berechtigung ist. 

Auch ist es eine Weiterbildung, dafi der zweite Schlussel 
bestimmt wird zu 
15 

G(g Xy ) 

y 

indem von der zweiten Instanz eine Operation G(g ) mit einer 
nur ihr bekannten geheimen Zahl y durchgefiihrt wird. Das 
20 Ergebnis dieser zweiten Operation wird mit dem ersten 

Schlussel verschlusselt und an die erste Instanz iibermittelt. 

Eine zusatzliche Weiterbildung besteht darin, daft zur 
Generierung des zweiten Schliissels das Dif f ie-Hellmann- 
5 Verfahren eihgesetzt wird. 

Eine andere Ausgestaltung besteht darin, daft die 
Verschliisselung mit dem ersten Schlussel anhand. einer 
Einwegf unktion, insbe sonde re einer kryptographischen 
30 Einwegf unktion durchgefiihrt wird. Eine Einwegf unktion 

zeichnet sich dadurch aus, daft sie in einer Richtung leicht 
zu berechnen, ihre Invertierung aber nur mit so groftem 
Aufwand machbar ist, daft diese Moglichkeit in der Praxis 
vernachlassigt werden kann. Ein Beispiel fur solch eine 
35 Einwegf unktion ist eine kryptographische Hashf unktion, die 
aus einer Eingabe A eine. Ausgabe B erzeugt. Anhand der 
Ausgabe B kann nicht auf die Eingabe A riickgeschlossen 
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werden, selbst wenn der Algorithmus der Hashf unktion bekannt 
ist . 



Auch ist es eine Weiterbildung, daft die Verschlusselung, die 
mit dem ersten Schlussel durchgefiihrt wird, einem 
symmetrischen Verschlusselungsverf ahren entspricht . 

Schlieftlich ist es eine Weiterbildung, daft die ubermittelten 
Daten vertrauliche Daten sind. 

Weiterhin wird zur Losung der Aufgabe eine Anordnung zur 
Authentif ikation angegeben, bei der eine Prozessoreinheit 
vorgesehen ist, die derart eingerichtet ist, daft 

a) von einer ersten Instanz eine erste Operation A(x,g) 
auf einem vorgegebenen bekannten Wert g und einem nur 
der ersten Instanz bekannten Wert x durchfiihrbar ist; 

b) bei dem das Ergebnis der ersten Operation mit einem 
der ersten und einer zweiten Instanz bekannten ersten 
Schlussel verschliisselbar ist; 

c) bei dem das mit dem ersten Schlussel verschlusselte 
Ergebnis der ersten Operation von der ersten Instanz 
zu der zweiten Instanz ubermittelbar ist; 

d) bei dem von der zweiten Instanz mit dem ersten 
Schlussel das Ergebnis der ersten Operation 
entschliisselt wird und somit die erste Instanz 
authentif izierbar ist . 

Diese Anordnung ist insbesondere geeignet zur Durchfiihrung 
des erf indungsgemaften Verfahrens oder einer seiner vorstehend 
erlauterten Weiterbildungen . 

Ausf uhrungsbeispiele der Erfindung werden nachfolgend anhand 
der Zeichnung dargestellt und erlautert. 
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Es zeigen 

Fig.l eine Skizze zur Vereinbarung eines gemeinsamen 
Schliissels zwischen zwei Instanzen, deren jede 
Authentizitat jeweils sichergestellt ist; 



Fig. 2 eine Skizze gemafi Fig.l unter Einsatz des DES- 
Algorithmus; 

10 Fig. 3 eine Prozessoreinheit . 

In Fig.l ist eine Skizze dargestellt zur Vereinbarung eines 
gemeinsamen Schliissels zwischen zwei Instanzen, deren jede 
15 Authentizitat jeweils sichergestellt ist. Eine Instanz A 101 
wahlt eine zufallige Zahl x in einem Korper "mod p-l" (siehe 
Block 103) . Nun wird von der Instanz 101 an eine Instanz 102 
eine Nachricht 104 geschickt, die folgendes Format aufweist: 

x x 

20 g, p, T A , ID A , g mod p, H(g mod p, PW, ID A , T A , . . . ) , 



wobei 

x einen geheimen Zufallswert der Instanz A 101, 

y einen geheimen Zufallswert der Instanz B 102, 

g einen Generator nach dem Dif f ie-Hellman- 

Verfahren, 

p eine Primzahl fur das Dif f ie-Hellman- 

Verfahren, 

T A einen Zeitstempel der Instanz A beim Erzeugen 

30 bzw. Absenden der Nachricht, 

Tb einen Zeitstempel der Instanz B beim Erzeugen 

bzw. Absenden der Nachricht, 
ID A ein Identif ikationsmerkmal der Instanz A, 



IDs ein Identif ikationsmerkmal der Instanz B, 

ein offent 
Instanz A, 



35 g mod p ein offentlicher Dif f ie-Hellman-Schlussel der 
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g y mod p ein offentlicher Dif f ie-Hellman-Schlussel der 
Instanz B, 

PW ein gemeinsames Geheimnis zwischen den 



Instanzen A und B (Paliwort, "shared secret"), 
5 H(M) eine kryptographische Einwegf unktion 

(Hashf unktion) uber die Parameter M, 
KEY ein beiden Instanzen A und B gemeinsamer 

Sessionkey. 

10 bezeichnen. 1st diese Nachricht bei der Instanz 102 

angekommen, wird dort (siehe Block 105) eine zufallige Zahl y 
aus dem Korper "mod p-1" gewahlt und in einem Block 106 ein 
gemeinsamer Schliissel vereinbart zu 

15 KEY = g Xy mod p. 

Die zweite Instanz 102 ubermittelt eine Nachricht 107 mit dem 
Format 

20 T B , IDb, g Y mod p, H(g Y mod p, PW, ID B , T B , . . . ) 



an die erste Instanz 101. Die erste Instanz 101 wird 
daraufhin in einem Schritt 108 die Operation 



KEY = g Xy mod p 



aus, woraus sich ebenfalls der gemeinsame Schliissel KEY 
ergibt. 

30 Hierbei sei ausdrucklich angemerkt, daft beispielhaft der 
Korper "mod p-1" als eine von vielen Moglichkeiten 
herausgegrif f en wurde. Ferner werden die Nachrichten 104 und 
107 als jeweils eine Moglichkeit von vielen angesehen. 
• Insbesondere sind die zur Adressierung angefuhrten Felder 

35 innerhalb der Nachrichten abhangig von der Applikation bzw. 
dem verwendeten Ubertragungsprotokoll . 



GR 98 P 2998 



9 

In Fig.l wirci eine kryptographische Einweg-Hashf unktion H 
verwendet. Ein Beispiel zur Obermittlung einer solchen 
Einweg-Hashf unktion ist der SHA-l-Algorithmus (vergleiche 
[4]). Der Einsatz eines symmetrischen 

Verschliisselungsverf ahrens, z.B. des DES-Algorithmus [5], 
anstatt der Einweg-Hashf unktion H, wird in Fig. 2 dargestellt. 
Die Blocke 101, 102, 103, 105, 106 und 108 sind in Fig. 2 
identisch zu Fig.l. Die von der ersten Instanz 101 an die 
zweite Instanz 102 ubertragene Nachricht 201 hat das Format 

x x 
g, P/ T A , ID A , g mod p, ENC PW (g mod p, PW, 

ID A , T A , . . . ) , 

wobei 

ENCpw(M) ein symmetrisches Verfahren zur 

Verschliisselung des Parameters M mit dem 
Schlussel PW 

bezeichnet . 

In umgekehrter Richtung wird von der Instanz 102 an die 
Instanz 101 in Fig. 2 die Nachricht 202 verschickt, die 
folgendes Format aufweist: 

y y 

Tb, IDg, g mod p, ENCpw(g mod p, PW, IDs, T B , . . . ) . 

Hierbei sei insbesondere vermerkt, daft jeweils eine Nachricht 
(in Fig.l die Nachricht 104 bzw. in Fig. 2 die Nachricht 201) 
ausreicht, um die erste Instanz 101 gegenuber der zweiten 
Instanz 102 zu authent if izieren . Sieht man davon ab, daft sich 
auch die zweite Instanz 102, beispielsweise ein 
wahrzunehmender Dienst innerhalb einer Net zwerkverbindung, 
z.B. dem Internet, authentif izieren muft, so kann es 
ausreichen, wenn lediglich die erste Instanz 101 sich 
authentif iziert . Dies ist bereits nach Ubertragung der 
jeweils ersten Nachrichten 104 und 201 gegeben. Wahlt sich 
insbesondere die erste Instanz 101 bei der zweiten Instanz 
102 ein, so ist haufig davon auszugehen, daft diese zweite 
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Instanz 102 auch die richtige Instanz ist. Umgekehrt muB die 
zweite Instanz 102 davon ausgehen konnen, daft der Anrufer 
(die erste Instanz 101) auch der ist, fur den er sich 
ausgibt. Somit ist in dieser Richtung, von der ersten Instanz 
5 101 zur zweiten Instanz 102, die Prufung der Authentizitat 
wichtig. 

In Fig. 3 ist eine Prozessoreinheit PRZE dargestellt. Die 
Prozessoreinheit PRZE umfaftt einen Prozessor CPU, einen 
10 Speicher SPE und eine Input /Output-Schnittstelle IOS, die 
iiber ein Interface IFC auf unterschiedliche Art und Weise 
genutzt wird: Ober eine Graf ikschnittstelle wird eine Ausgabe 
auf einem Monitor MON sichtbar und/oder auf einem Drucker PRT 
ausgegeben. Eine Eingabe erfolgt iiber eine Maus MAS oder eine 
15 Tastatur TAST. Auch verfugt die Prozessoreinheit PRZE iiber 
einen Datenbus BUS, der die Verbindung von einem Speicher 
MEM, dem Prozessor CPU und der Input /Output-Schnittstelle IOS 
gewahrleistet . Weiterhin sind an den Datenbus BUS zusatzliche 
Komponenten anschlieftbar , z.B. zusatzlicher Speicher, 
20 Datenspeicher (Festplatte) oder Scanner. 
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15 



20 



30 



Patentanspruche 

1. Verfahren zur Authentif ikation, 

a) bei ciem von einer ersten Instanz eine erste Operation 
A(x,g) auf einem vorgegebenen bekannten Wert g und 
einem nur der ersten Instanz bekannten Wert x 
durchgef uhrt wird; 

b) bei dem das Ergebnis der ersten Operation mit einem 
der ersten und einer zweiten Instanz bekannten ersten 
Schliissel verschlusselt wird; 

c) bei dem das mit dem ersten Schliissel verschliisselte 
Ergebnis der ersten Operation von der ersten Instanz 
zu der zweiten Instanz ubermittelt wird; 

d) bei dem von der zweiten Instanz mit dem ersten 
Schliissel das Ergebnis der ersten Operation 
entschliisselt wird und somit die erste Instanz 
authentif iziert wird. 

2. Verfahren nach Anspruch 1, 

bei dem die erste Operation A(x,g) ein asymmetrisches 
Kryptoverf ahren ist. 

3. Verfahren nach Anspruch 1 oder 2, 
bei dem die erste Operation A(g,x) 

x 

a) eine Dif f ie-Hellman-Funktion G(g ) ist, wobei G() eine 

beliebige, endliche zyklische Gruppe G ist; 

g 

b) eine RSA-Funktion x ist. 

4. Verfahren nach einem der vorhergehenden Anspruche, 
bei dem die erste Operation auf einer Gruppe G 
durchgefiihrt wird, wobei die Gruppe G eine der folgenden 
Gruppen ist: 

a) eine multiplikative Gruppe F Q eines endlichen 



Korpers Fq, insbesondere mit 

• einer multiplikativen Gruppe Zp der ganzen 
Zahlen modulo einer vorgegebenen Primzahl p; 
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* m 

o einer multiplikativen Gruppe Ft mit t = 2 iiber 
einem endlichen Korper Ft der Charakteristik 2; 

o einer Gru p pe der Einheiten Z n mit n a l s einer 

zusammengeset zten ganzen Zahl; 
5 b) eine Gruppe von Punkten auf einer elliptischen Kurve 

iiber einem endlichen Korper; 
c) eine Jacobivariante einer hyperelliptischen Kurve iiber 
einem endlichen Korper. 

10 5. Verfahren nach einem der vorhergehenden Anspriiche, 

bei dem das Ergebnis der ersten Operation ein zweiter 
Schlussel ist, mit dem die erste Instanz zur Wahrnehmung 
eines Dienstes auf der zweiten Instanz autorisiert wird. 



15 6. Verfahren nach dem vorhergehenden Anspruch, 

bei dem der zweite Schlussel ein Sessionkey oder eine an 
eine Applikation gebundene Berechtigung ist. 



7. Verfahren nach einem der Anspruche 5 oder 6, 
20 bei dem der zweite Schlussel bestimmt wird zu 

G(g Xy ), 

y 

indem von der zweiten Instanz eine zweite Operation G(g ) 
5 mit einer nur ihr bekannten geheimen Zahl y durchgef iihrt , 

das Ergebnis dieser zweiten Operation mit dem ersten 
Schlussel verschliisselt und an die erste Instanz 
ubermittelt wird. 



30 8. Verfahren nach einem der vorhergehenden Anspruche, 

bei dem zur Erzeugung des zweiten Schlussels das Diffie- 
Hellman-Verf ahren eingesetzt wird. 

9. Verfahren nach einem der vorhergehenden Anspruche, 
35 bei dem die Verschlusselung mit dem ersten Schlussel 

anhand einer Einwegf unktion, insbesondere einer 
kryptographischen Einwegf unktion, durchgefuhrt wird. 
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10. Verfahren nach einem der Anspriiche 1 bis 6, 

bei dem die Verschlusselung mit dem ersten Schlussel 
anhand eines symmetrischen Verschlusselungsverf ahrens 
5 durchgefiihrt wird. 



11. Verfahren nach einem der vorhergehenden Anspriiche, 

bei dem die ubermittelten Daten vertrauliche Daten sind. 

10 

12. Anordnung zur Authentif ikation, 
bei der eine Prozessoreinheit vorgesehen ist, die derart 
eingerichtet ist, daft 

a) von einer ersten Instanz eine erste Operation A(x,g) 
15 auf einem vorgegebenen bekannten Wert g und einem nur 

der ersten Instanz bekannten Wert x durchfuhrbar ist; 

b) bei dem das Ergebnis der ersten Operation mit einem 
der ersten und einer zweiten Instanz bekannten ersten 
Schlussel verschliisselbar ist; 

20 c) bei dem das mit dem ersten Schlussel verschliisselte 

Ergebnis der ersten Operation von der ersten Instanz 
zu der zweiten Instanz ubermittelbar ist; 
d) bei dem von der zweiten Instanz mit dem ersten 
Schlussel das Ergebnis der ersten Operation 
5 entschliisselt wird und somit die erste Instanz 

authentif izierbar ist. 
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Zusammenf as sung 

Verfahren und Anordnung zur Authentif ikation von einer ersten 
Instanz und einer zweiten Instanz 

5 

Urn eine erste Instanz bei einer zweiten Instanz zu 
authentif izieren, wird mittels eines asymmetrischen 
Kryptoverf ahrens eine erste Zahl erzeugt. Diese erste Zahl 
wird symmetrisch verschliisselt und an die zweite Instanz 
10 ubertragen. Die zweite Instanz uberpruft die erste Zahl durch 
Entschlusselung der zweiten Zahl und authentif iziert damit 
die erste Instanz. 
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